OAuth client scope handling breaks on comma-separated scope strings

Offen Anfängerfreundlich

#3,566 erstellt am 23.9.2026 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 2/5
Geschätzter Aufwand: 1-3 Stunden
Anfängerfreundlichkeit: 75/100

Issue-Typ: Bug
Klarheit: Klar beschrieben
Aktivitätsstatus: Aktiv
Tech-Stack: python
Bereich: api, authentication, backend

Rechercherichtung

Suchen Sie nach der Funktion union_scopes und den offline_access-Mitgliedschaftsprüfungen im OAuth-Client-Code. Die Lösung besteht darin, einen parse_scopes-Helfer zu erstellen, der sowohl nach Leerzeichen als auch nach Kommas aufteilt. Überprüfen Sie die vorhandenen Tests für die Scope-Behandlung, um das erwartete Verhalten zu verstehen, und schreiben Sie dann parametrisierte Tests für den neuen Helfer. Die PR-Beschreibung erwähnt, dass eine Lösung bereits in einem Fork vorbereitet ist, also überprüfen Sie diese Implementierung als Referenz.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Initial Checks

I confirm that I'm using the newest release of my line (verified on main and 2.2.0)
I confirm that I searched for my issue in the issues before opening this one (searched "comma scope", "scope separator")

Release line

v2 (v1 shares the code)

Description

RFC 6749 §3.3 separates scopes with spaces, but real-world authorization servers (e.g. Linear) return comma-separated scope values in token responses and WWW-Authenticate challenges. union_scopes and the offline_access membership checks split on whitespace only, so a comma-separated grant is treated as one opaque scope: the SEP-2350 step-up union stops deduplicating (scopes accumulate as read,write read write) and offline_access/prompt=consent handling misfires.

We carry a fix in Perplexity's fork and have it rebased onto current main: a parse_scopes helper accepting both separators, used in union_scopes and the offline_access membership checks, with parametrized tests. Please assign so the PR stays open.

🤖 Generated with Claude Code

Vorherrschende Sprache: Python
Sterne: 24.3k
Forks: 4k
Ø Merge: 1 T. 11 Std.
Gemergte PRs (30 T.): 30

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus modelcontextprotocol/python-sdk

Streamable HTTP client logs a WARNING for valid 202 Accepted on session termination (DELETE) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 85/100

modelcontextprotocol/python-sdk#3546 · 5 Kommentare · Erstellt am 19.9.2026
Server ClientAuthenticator requires client_id in token body, rejecting valid client_secret_basic requests (RFC 6749 §2.3.1) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100

modelcontextprotocol/python-sdk#3545 · 1 Kommentar · Erstellt am 18.9.2026
Revocation requires client_secret to be present Offen

v1 v2

Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 91/100

modelcontextprotocol/python-sdk#3508 · 2 Kommentare · Erstellt am 15.9.2026
Does same-origin redirect enforcement break MCP servers behind a reverse proxy? Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 64/100

modelcontextprotocol/python-sdk#3504 · Erstellt am 15.9.2026
Streamable HTTP stateless servers hang clients on the listen-mode GET (_handle_get_request opens a hold-open SSE stream) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100

modelcontextprotocol/python-sdk#3492 · 1 Kommentar · Erstellt am 11.9.2026

Alle Issues in modelcontextprotocol/python-sdk